Votre organisation détecte une activité réseau inhabituelle. Votre équipe informatique enquête et découvre un accès non autorisé aux données clients. Vous neutralisez la menace. Une question urgente se pose alors : faut-il signaler cet incident aux autorités ? À qui précisément ? Quelles informations fournir ? De combien de temps disposez-vous ?
Conformément à la norme NIS2 et à la législation néerlandaise, de nombreuses organisations sont tenues de signaler les incidents de cybersécurité aux autorités compétentes dans des délais stricts. Ce délai est généralement compris entre 24 et 72 heures après la détection. La réglementation précise l'autorité destinataire du signalement, les informations à fournir et les exigences de format. Tout manquement à ce délai ou signalement à un organisme non compétent expose les organisations à des amendes importantes, des poursuites et une responsabilité juridique pouvant s'étendre au-delà de l'incident initial.
Ce guide vous explique précisément comment respecter vos obligations de déclaration. Vous découvrirez les lois applicables à votre organisation, les situations nécessitant un signalement, les autorités à contacter à chaque étape, les informations requises pour chaque rapport et comment mettre en place des procédures efficaces. Nous éviterons le jargon juridique et nous concentrerons sur les mesures pratiques que vous pouvez prendre dès maintenant pour garantir votre conformité et protéger votre organisation.
Quelles sont vos obligations en matière de signalement des incidents de cybersécurité ?
Vos obligations en matière de déclaration des incidents de cybersécurité dépendent de la taille de votre organisation, de son secteur d'activité et des services que vous proposez. Les entités essentielles (énergie, transports, banque, santé, infrastructures critiques) et les entités importantes (services postaux, gestion des déchets, fournisseurs de services numériques, production alimentaire) sont soumises à l'obligation de déclaration prévue par la réglementation NIS2. Si vous exploitez des infrastructures critiques ou des services numériques destinés aux consommateurs néerlandais, vous êtes très probablement concerné par cette réglementation.
Les trois étapes de reporting que vous devez compléter
Vous êtes soumis à trois obligations de déclaration distinctes, assorties de délais différents. Votre première obligation débute dans les 24 heures suivant la détection d'un incident grave : vous devez soumettre une alerte précoce à votre équipe CSIRT (Computer Security Incident Response Team) ou à l'autorité compétente. Cette notification initiale signale l'incident et indique si vous suspectez une activité malveillante ou un impact transfrontalier.
Vous devez soumettre votre notification d'incident dans les 72 heures . Ce rapport comprend votre évaluation initiale de la gravité, de l'impact, des systèmes affectés et des indicateurs de compromission disponibles. Vous fournissez des détails techniques permettant aux autorités de comprendre l'étendue et la nature de la violation.
Les organisations qui ne respectent pas ces délais s'exposent à des amendes pouvant atteindre 10 millions d'euros ou 2 % de leur chiffre d'affaires annuel mondial en vertu de la loi NIS2, le montant le plus élevé étant retenu.
Votre rapport final vous sera remis dans le mois suivant la notification de l'incident. Ce document exhaustif détaille l'étendue complète de l'incident, l'analyse de ses causes profondes, les mesures d'atténuation mises en œuvre et ses répercussions transfrontalières. Si vous gérez toujours l'incident à l'expiration de ce délai d'un mois, vous devrez soumettre un rapport d'étape, puis un rapport final dans le mois suivant sa résolution.
Tâches supplémentaires au-delà du rapport initial
Vous devez également informer les parties concernées lorsqu'un incident grave affecte les bénéficiaires de services. Cette notification doit être effectuée sans délai indu et inclure les mesures pratiques que ces bénéficiaires peuvent prendre pour se protéger. Pour les prestataires de services fiduciaires en particulier, ce délai de 72 heures est réduit à 24 heures en cas d'incident affectant les services fiduciaires.
Votre équipe CSIRT ou l'autorité compétente répond dans les 24 heures suivant la réception de votre alerte précoce, en fournissant un premier retour d'information et des conseils opérationnels sur les mesures d'atténuation.
Étape 1. Identifiez les lois européennes et néerlandaises qui vous concernent.
Il est essentiel de déterminer les cadres réglementaires qui régissent vos obligations de déclaration des incidents de cybersécurité avant même qu'un incident ne survienne. La directive NIS2 (Directive sur la sécurité des réseaux et de l'information) s'applique globalement aux Pays-Bas, mais la loi DORA (Loi sur la résilience opérationnelle numérique) et certaines réglementations néerlandaises spécifiques imposent des obligations supplémentaires à certains secteurs. Commencez par évaluer votre organisation au regard des critères de chaque cadre.
Vérifiez si la réglementation NIS2 s'applique à votre organisation.
Le règlement NIS2 s'applique si vous êtes considéré comme une entité essentielle ou importante . Les entités essentielles comprennent les organisations des secteurs de l'énergie, des transports, de la banque, des infrastructures de marché financier, de la santé, de l'eau potable, du traitement des eaux usées, des infrastructures numériques, de l'administration publique et du spatial. Les entités importantes comprennent les services postaux, la gestion des déchets, la chimie, la production alimentaire, l'industrie manufacturière, les fournisseurs de services numériques et les organismes de recherche.
La taille de votre entreprise n'a d'importance que pour les fournisseurs de services numériques (FSN). Vous êtes considéré comme un FSN si vous exploitez une place de marché en ligne, un service cloud ou un moteur de recherche employant au moins 50 personnes et réalisant soit un chiffre d'affaires annuel de 10 millions d'euros , soit un actif total de 10 millions d'euros . Toutes les autres entités essentielles et importantes sont soumises à des obligations, quelle que soit leur taille.
Si vous exploitez une infrastructure critique ou si vous étiez auparavant désigné en vertu de l'ancienne directive NIS (Wbni), vous êtes automatiquement admissible en vertu de NIS2.
Le gouvernement néerlandais tient un registre des entités désignées. Veuillez vérifier votre statut auprès de l'autorité compétente de votre secteur (énergie et infrastructures numériques : RDI ; services financiers : AFM et DNB ; santé : IGJ). Cette vérification doit être effectuée avant janvier 2026, date d'entrée en vigueur du renforcement des contrôles.
Vérifiez si DORA couvre vos services financiers
La réglementation DORA s'applique séparément aux établissements financiers et aux prestataires de services TIC qui les desservent. Vous êtes concerné par la réglementation DORA si vous exercez votre activité en tant qu'établissement de crédit, prestataire de services de paiement, compagnie d'assurance, société d'investissement, prestataire de services de crypto-actifs ou établissement de monnaie électronique. Cette réglementation est parallèle à la réglementation NIS2 et comporte ses propres obligations de déclaration.
Les prestataires de services financiers signalent les incidents importants à l' AFM (via le portail AFM) et à la DNB (via Mon DNB), en plus du RDI. Vous devez également enregistrer tous les accords contractuels conclus avec des tiers du secteur des TIC pour des fonctions critiques ou importantes via ces portails dans les délais impartis.
Évaluez vos obligations en tant que fournisseur de services numériques
La Wbni ( version néerlandaise ) impose des obligations spécifiques aux fournisseurs de places de marché en ligne, de services de cloud computing ou de moteurs de recherche . Vous devez signaler les incidents à la fois au RDI et au CSIRT-DSP (équipe spécialisée de réponse aux incidents pour les fournisseurs de services numériques). Contrairement aux entités essentielles d'autres secteurs, vous êtes soumis à des seuils de taille : plus de 50 employés et un chiffre d'affaires ou un actif supérieur à 10 millions d'euros.
Les prestataires de services fiduciaires sont soumis à des délais accélérés en vertu du règlement eIDAS. Ils doivent signaler les incidents importants affectant leurs services fiduciaires dans un délai de 24 heures, au lieu des 72 heures habituellement applicables aux autres entités.
Étape 2. Définir les conditions de déclaration d'un incident
Il vous faut des critères précis pour déterminer si un incident justifie un signalement. La loi définit les incidents importants comme ceux qui entraînent une perturbation opérationnelle grave, des pertes financières ou des dommages considérables pour autrui. Vos obligations de signalement des incidents de cybersécurité commencent dès la détection d'un incident répondant à ces critères, et non à la fin de votre enquête. Vous devez donc prendre des décisions de signalement rapidement, souvent avec des informations incomplètes.
Évaluez le seuil de gravité pour votre organisation
Un incident est considéré comme significatif lorsqu'il perturbe vos services essentiels ou engendre des conséquences financières importantes . NIS2 distingue deux grandes catégories : les incidents qui perturbent gravement vos opérations ou entraînent des pertes financières, et les incidents qui affectent des tiers en causant des dommages matériels ou immatériels considérables. Vous devez déclarer tout incident relevant de l'une ou l'autre de ces catégories.
Une interruption d'activité signifie que vous ne pouvez plus fournir de services à vos clients, que vos systèmes critiques tombent en panne ou que vous perdez l'accès à des données essentielles. Les pertes financières comprennent les coûts directs tels que les rançons, les frais de rétablissement, le manque à gagner et les amendes réglementaires. La loi ne fixe pas de seuils précis en euros ; l'évaluation se fait donc en fonction de la taille de votre organisation et de l'impact relatif de l'incident.
Documentez vos seuils internes avant qu'un incident ne survienne. Cela garantit la cohérence des décisions en matière de signalement et démontre votre bonne foi si les autorités remettent ultérieurement en question votre jugement.
Tenez compte des indicateurs suivants pour évaluer la signification :
- Disponibilité du serviceVos clients peuvent-ils accéder à vos services ? Depuis combien de temps vos systèmes sont-ils hors service ?
- Intégrité des donnéesUn accès non autorisé a-t-il eu lieu ? Quelles catégories de données ont été affectées ?
- Portée géographiqueL’incident affecte-t-il plusieurs lieux ou pays ?
- Impact clientCombien d'utilisateurs ou de destinataires subissent une interruption de service ?
- Le temps de récupérationVous attendez-vous à une résolution dans les heures, les jours ou les semaines qui suivent ?
Évaluer les effets transfrontaliers et en cascade
Vous devez signaler les incidents susceptibles d'avoir un impact transfrontalier, même si leurs conséquences nationales semblent mineures. Un incident affectant vos activités aux Pays-Bas pourrait impacter vos clients, partenaires ou chaînes d'approvisionnement dans d'autres États membres de l'UE. Cela déclenche une obligation de signalement, car les autorités coordonnent leurs interventions au-delà des frontières.
Les effets en cascade sont tout aussi importants. Votre incident doit être déclaré lorsqu'il perturbe les services que vous fournissez à d'autres entités essentielles ou importantes, indépendamment de son impact direct sur les utilisateurs finaux. Par exemple, si vous fournissez des services cloud à un hôpital et que votre faille de sécurité affecte les systèmes informatiques de ses patients, vous devez le déclarer en fonction de l'impact opérationnel sur cet hôpital, et non uniquement de vos propres pertes.
Les prestataires de services de confiance sont soumis à des seuils plus stricts . Tout incident affectant la fourniture de ces services (signatures numériques, certificats, horodatages) doit être signalé immédiatement, dans un délai de 24 heures. Il n'est pas nécessaire d'attendre pour évaluer si l'impact répond aux critères de gravité générale.
Étape 3. Élaborez vos procédures de signalement des incidents
Vous avez besoin de procédures documentées qui précisent exactement qui fait quoi, quand et comment lors d'un incident. Votre plan de réponse aux incidents doit inclure des flux de signalement clairs qui s'activent automatiquement dès qu'un incident majeur est détecté par votre équipe. Ces procédures traduisent vos obligations de signalement des incidents de cybersécurité, initialement des exigences légales abstraites, en actions concrètes que votre personnel peut mettre en œuvre sous pression.
Élaborez votre matrice de classification des incidents
Votre matrice de classification aide les équipes d'intervention à déterminer les obligations de déclaration quelques minutes après la détection d'un incident. Créez un tableau associant les types d'incidents et leurs niveaux de gravité aux obligations de déclaration, aux délais et aux autorités compétentes. Cela élimine les approximations et garantit des décisions cohérentes au sein de votre organisation.
| Type d'incident | Gravité | Rapport à | Date limite initiale | Notification d'incident |
|---|---|---|---|---|
| Accès non autorisé aux données client | Haute | RDI + CSIRT | de 24 heures | de 72 heures |
| Ransomware affectant les systèmes critiques | Critical | RDI + CSIRT + NCSC | de 24 heures | de 72 heures |
| Attaques DDoS perturbant les services publics | Haute | RDI + CSIRT | de 24 heures | de 72 heures |
| compromission du service de confiance (le cas échéant) | Critical | RDI + CSIRT | de 24 heures | de 24 heures |
| Incident de service financier (DORA) | Haute | RDI + AFM + DNB | de 24 heures | de 72 heures |
Mettez à jour cette matrice à chaque changement de réglementation ou à chaque ajout de nouveaux services par votre organisation. Testez-la trimestriellement à l'aide de scénarios réalistes afin d'identifier les lacunes ou les points de confusion.
Concevez votre flux de notification
Votre processus doit définir précisément la séquence d'actions, de la détection de l'incident à la rédaction du rapport final. Indiquez qui initie le signalement, qui examine et approuve les notifications, qui les soumet et qui assure la liaison avec les autorités. Prévoyez un remplaçant pour chaque rôle afin de pallier les absences.
Votre processus de travail doit tenir compte du fait que les incidents surviennent en dehors des heures ouvrables, lorsque la direction n'est pas immédiatement disponible. Intégrez des mécanismes d'approbation pour éviter les retards.
Créez un format de liste de contrôle que votre équipe suivra :
- Incident détecté : le responsable de l’équipe de sécurité effectue une évaluation par rapport à la matrice de classification dans les 2 heures.
- Incident à signaler confirmé : le RSSI a été immédiatement informé et a entamé la préparation à l’alerte précoce.
- Élaboration d'un système d'alerte précoce : Inclure le type d'incident, le délai de détection, la cause suspectée et l'impact transfrontalier potentiel.
- Vérification juridique : Un conseiller juridique examine le projet dans un délai de 4 heures afin d’en vérifier l’exactitude et l’exhaustivité.
- Soumission : Le RSSI ou son délégué soumet sa candidature via le portail officiel dans un délai de 24 heures.
- Réponse des autorités : L'équipe de sécurité met en œuvre les directives reçues dans les 24 heures.
- Notification d'incident : L'équipe technique prépare une évaluation détaillée dans les 60 heures.
- Soumission finale : Documentation complète soumise avant la date limite de 72 heures.
Préparer des modèles de rapport pour chaque étape
Les modèles garantissent que vos rapports contiennent toutes les informations requises tout en réduisant le temps de préparation. Créez des modèles distincts pour votre alerte précoce, votre notification d'incident et votre rapport final, incluant tous les champs obligatoires spécifiés par NIS2 et les autorités néerlandaises.
Votre modèle d'alerte précoce doit inclure : l'horodatage de la détection, la catégorie de l'incident, un résumé des systèmes affectés, un indicateur d'activité malveillante suspectée (oui/non), un indicateur d'impact transfrontalier (oui/non) et les coordonnées du contact principal. Votre notification d'incident ajoute : une évaluation de la gravité, l'étendue de l'impact, le nombre d'utilisateurs affectés, les indicateurs de compromission et les premières mesures d'atténuation prises. Les rapports finaux comprennent : la chronologie complète de l'incident, l'analyse des causes profondes, une évaluation complète de l'impact, les mesures de sécurité mises en œuvre, les enseignements tirés et les recommandations de prévention.
Enregistrez ces modèles sous forme de formulaires remplissables accessibles instantanément à votre équipe. Stockez-les sur votre plateforme de réponse aux incidents, dans votre wiki de sécurité et dans vos sauvegardes hors ligne afin de garantir leur disponibilité en cas de panne système.
Étape 4. Intégrer le reporting dans la formation et la gouvernance
Vos procédures de signalement sont inefficaces si le personnel ne comprend pas son rôle ou si les structures de gouvernance ne favorisent pas une prise de décision rapide. Une formation systématique et un contrôle de la direction sont indispensables pour garantir que votre organisation respecte systématiquement ses obligations de signalement des incidents de cybersécurité. Cela implique d'intégrer ces obligations à vos programmes de formation à la sécurité existants et de définir clairement les responsabilités au niveau de la gouvernance.
Former tout le personnel à la détection et à l'escalade des problèmes
Vous devez former tous vos employés à identifier les incidents de sécurité potentiels et à savoir précisément comment les signaler. Votre personnel technique a besoin d'une formation approfondie sur la matrice de classification et les procédures de signalement, tandis que les employés non techniques ont besoin de consignes plus simples, axées sur le repérage des activités inhabituelles et la prise de contact immédiate avec les personnes compétentes.
Organisez des exercices trimestriels sur table simulant des incidents réalistes nécessitant un rapport. Accompagnez votre équipe de réponse aux incidents tout au long du processus, de la détection à la soumission du rapport final. Ces exercices permettent d'identifier les lacunes procédurales, de tester vos modèles et de vérifier que le personnel de soutien comprend bien son rôle. Consignez les enseignements tirés après chaque exercice et mettez à jour vos procédures en conséquence.
La formation de sensibilisation à la sécurité destinée au personnel en général devrait couvrir les points essentiels suivants en matière de signalement :
- Qu’est-ce qui constitue un incident de sécurité potentiel (courriels inhabituels, tentatives d’accès non autorisés, données manquantes) ?
- Qui contacter immédiatement (fournissez les coordonnées de votre équipe de sécurité joignable 24h/24 et 7j/7)
- Ce qu'il ne faut pas faire (n'essayez pas de mener l'enquête vous-même, ne supprimez pas les preuves, n'attendez pas lundi)
- Pourquoi la rapidité est importante (les délais réglementaires commencent à courir lorsque les incidents sont détectés, et non signalés)
Former le personnel à ce que la détection et le signalement immédiats des activités suspectes protègent à la fois l'organisation et eux-mêmes de toute responsabilité , et ne se limitent pas à satisfaire aux exigences de conformité.
Intégrer le reporting dans la gouvernance existante
Votre conseil d'administration et votre direction générale ont besoin d'informations régulières sur les capacités de signalement des incidents et les incidents eux-mêmes. Planifiez des revues de gouvernance trimestrielles portant sur vos procédures de signalement, les incidents survenus, les réponses des autorités compétentes et les améliorations procédurales mises en œuvre. Cela favorise la responsabilisation et garantit que la direction comprenne ses obligations en matière de signalement.
Désignez un responsable exécutif spécifique en charge du respect des procédures de signalement des incidents. Cette personne (généralement votre RSSI ou votre directeur des risques) rend compte directement au conseil d'administration de l'état de préparation, entretient des relations avec les autorités compétentes et gère le budget des outils de signalement et de la formation. Une attribution claire des responsabilités évite toute confusion lors d'incidents réels, lorsque des décisions doivent être prises rapidement.
Intégrez des indicateurs de performance dans vos tableaux de bord de sécurité : délai entre la détection et l’émission de l’alerte précoce, pourcentage d’incidents respectant les délais impartis, temps de réponse des autorités et actions correctives mises en œuvre. Suivez ces indicateurs mensuellement afin d’identifier les tendances et les pistes d’amélioration.
Se tourner vers l’avenir
Vous disposez désormais d'un cadre complet pour respecter vos obligations de déclaration des incidents de cybersécurité conformément à la norme NIS2 et à la législation néerlandaise. Vous savez quelles réglementations s'appliquent à votre organisation, à partir de quel seuil un incident doit être déclaré, quelles autorités reçoivent les notifications, quelles informations chaque rapport doit contenir et comment élaborer des procédures robustes. La prochaine étape ? La mise en œuvre immédiate.
Commencez par examiner votre plan de réponse aux incidents actuel au regard des exigences décrites ici. Mettez à jour votre matrice de classification , préparez vos modèles de rapports et formez votre équipe de réponse aux incidents aux nouvelles procédures. Planifiez votre premier exercice de simulation dans les 30 prochains jours afin de tester les procédures avant qu'un incident réel ne survienne. Documentez tout ce que vous créez afin que votre équipe puisse y accéder instantanément en cas de besoin.
La conformité légale en matière de cybersécurité exige à la fois expertise technique et connaissances juridiquesSi vous avez besoin d'aide pour interpréter comment ces réglementations s'appliquent à votre situation particulière, contactez Law & More Pour des conseils spécialisés, leur équipe aide les organisations néerlandaises à s'y retrouver dans les exigences complexes de conformité en matière de cybersécurité et à mettre en place des cadres de réponse aux incidents qui protègent à la fois leurs opérations et leur situation juridique.
